一道爆破密码题

最新推荐文章于 2025-08-13 14:07:07 发布
原创 最新推荐文章于 2025-08-13 14:07:07 发布 · 1.1k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文通过一道名为weak_auth的题目，引导读者了解弱口令问题并掌握爆破技巧。首先，尝试登录目标网站失败后，用admin账号进行尝试。接着，分析check.php源代码确认爆破可行性。然后，利用burpsuite抓包工具配合字典进行爆破，最终成功获取flag。

题目：weak_auth

在这里插入图片描述

目标：

了解弱口令，掌握爆破的方法

Writeup

（1）打开目标网址，发现需要登陆，于是我们输入账号密码信息

在这里插入图片描述
（2）我们随便输入一个账号密码登陆测试一下，出现下图所示

在这里插入图片描述
（3）看到上图所示，我们下面使用admin账户进行登陆试试，密码自己随便填写一个
在这里插入图片描述
（4）结果还是失败，但是从结果显示可以看出，我们可以对密码进行爆破

在这里插入图片描述
（5）接下来我们查看一下check.php的源代码，从中更加确定了我们对密码进行爆破
在这里插入图片描述
（6）接下来我们使用burpsuite抓包软件进行爆破（这里需要一个字典，可以在github里面下载一个也可以自己创建一个，字典越多越好。）
https://github.com/rootphantomer/Blasting_dictionary
（7）现在我们开始进行爆破
在这里插入图片描述
在这里插入图片描述
（8）添加字典开始爆破
在这里插入图片描述
（9）爆破成功，拿到flag
在这里插入图片描述

FSecurity
关注
《WEB安全渗透测试》（15）验证码暴破or账号密码暴破
午夜安全
10-14 3057
《WEB安全渗透测试》（15）验证码暴破or账号密码暴破 这道题目名称叫验证码爆破，是对验证码爆破吗？不对，这种说法是不准确的，这里其实是由于验证码机制存在缺陷，无法起到相应的安全作用（防止账号密码暴力破解），从而恶意用户可以利用工具对用户密码进行暴力破解。所以名称叫账号密码暴力破解更加合适。在真实的渗透测试工作中，图片验证码的问题广泛存在，主要集中在图片验证码绕过、暴力破解、回显、无效、机器识别等方面。使用Burp抓包，可以发现，提交之后一共2次请求......
一道中职空间安全SSH弱口令渗透测试题解题思路
shatianyzg的博客
06-04 472
任务环境说明： 服务器场景：Linux 服务器场景操作系统：Linux（版本不详） 渗透机场景：BT5 渗透机场景用户名：root,密码：toor 1.在本地PC渗透测试平台BT5中使用zenmap工具扫描服务器场景Linux所在网段(例如：172.16.101.0/24)范围内存活的主机IP地址和指定开放的21、22、23端口。并将该操作使用的命令中必须要添加的字符串作为FLAG提交（忽略ip地址）；flag=-p21,22,232.通过本地PC中渗透测试平台BT5对服务器场景Linux进行系统服
BugKu-web15（密码爆破）
羽的博客
05-04 473
密码爆破题来了 用Burp suite数字密码爆破就好了 题目要的也就是你去搞懂密码爆破。学会使用burp suite。 简单抓包，发给Intruder. 攻击模式设置为爆破 设置两个爆破点，（因为爆破时只能是两个及以上） 设置payloads type为Numbers. 并设置为9999~100000. 5位数字。 将线程设置为10 .这样快一点。 剩下就是自动爆破了。 ...
【CTF爆破专题】
qq_74240553的博客
01-17 1464
CTF爆破
【CTF练习】Ctfshow入门 爆破（21-24）
Lush_hair_Dl的博客
03-10 2206
爆破题常用的工具就是bp的Intruder模块，将抓到的包发送到Repeater(点击action会有相应选项)，用字典爆破：本题是一个登录窗口，首先第一步就是先输入用户名为：admin（一般没有额外提示就这么猜），密码随便输（此处输入111），然后登录。这一过程的目的是为了抓包查看爆破点有的时候抓包会直接看到用户名和密码的位置，这里就不能直接看到，此处将用户名和密码进行base64加密（对于一串字符后有=，基本就要猜测这一串数据是否是base64加密，解密看看是否有什么信息），解密后发现是。
CTF — 压缩包密码爆破
Bruce_xiaowei的博客
08-06 1万+
​ 在CTF比赛中，密码爆破压缩包（如ZIP或RAR文件）是一个常见的任务。针对ZIP压缩包的密码爆破主要是使用工具ARCHPR完成的。
CTFshow-web入门-爆破（web21~28）WP
最新发布
Claire_cat的学习记录
08-13 850
在第二张图中，我们输入的账号是admin，密码是123456，得到了 YWRtaW46MTIzNDU2 ，放进cyberchef解密，发现账号密码的加密方法，即。附件给了密码字典，用字典里的密码登录admin管理员账户，密码太多了，想到用 bp 爆破。注意：php5 和 php7 的种子的随机数列不一样，题目环境是 php7。注意：php5 和 php7 的种子的随机数列不一样，题目环境是 php7。注意：php5 和 php7 的种子的随机数列不一样，题目环境是 php7。
记录一道 sql 注入流量分析题
lpppp小公主的博客
08-27 762
虽然这题可以用工具梭哈，但是自己在写脚本的时候还是遇到了一些问题，继续加油吧！
一道关于压缩包的ctf题目(包括暴力破解，明文攻击，伪加密)
weixin_52268949的博客
01-27 2594
关于题目附件 链接：https://pan.baidu.com/s/1PRshlizSndkgxkslnqJrHA 提取码：p76e zip三连击 下载附件得到题目 手机号码一般是11位，那么我们设置暴力破解范围为19900000000-19999999999，破解得到密码 在第一个压缩包成功解压后我们又得到提示 这时我们去看加密压缩包和已经解密的压缩包的crc 意外发现readme.txt的crc竟然相同，那么我们可以采用明文攻击 等待明文爆破完毕将压缩包保存即可获得不需要密码的压缩包，然后这题
面安服的一道笔试题
wulanlin的博客
12-31 1293
打算找实习了，在boss上投，简单交流后收到回复，试了下，记录下思路和过程。 资产收集 拿到靶机，指纹识别 根据题目提示使用dirsearch进行目录简单扫描，部分结果如下： 找到robot.txt User-agent: * Disallow: /Company_admin/ 访问首页F12查看源码 <!-- author: Ethredah author URL: http://ethredah.github.io --> 找到前端代码作者Ethredah
网安实训Day1
qq_64696386的博客
08-27 434
输入错误的账号密码，但输入正确的验证码时，提示我们username or password is not exists；4.点击右上角start attack开始爆破，结果如下，根据返回数据长度来判断正确的账号密码，返回长度不同于其他数据包的，就是正确的账号密码,故admin为123456。3.进入payloads模块，根据提示在payload set1中输入关于账号的字典，在payload set2中输入关于密码的字典（一般是网上搜索字典）1.根据提示查看js代码，发现前端与验证码有关的一串代码。
凯撒密码
weixin_43723935的博客
10-03 7518
为了防止信息被别人轻易窃取，需要把电码明文通过加密方式变换成为密文。输入一个以回车符为结束标志的字符串（少于80个字符），再输入一个整数offset，用凯撒密码将其加密后输出。恺撒密码是一种简单的替换加密技术，将明文中的所有字母都在字母表上偏移offset位后被替换成密文，当offset大于零时，表示向后偏移；当offset小于零时，表示向前偏移。 输入格式: 输入第一行给出一个以回车结束的非空字符串（少于80个字符）；第二行输入一个整数offset。 输出格式: 输出加密后的结果字符串。 输入样
Bugku的web题（三）
weixin_43342135的博客
08-14 407
17.输入密码查看flag 查看网站，得到提示baopo的提示，于是这里采取了burpsuite抓包进行密码爆破： 最后burpsuite，爆破出密码：13579 得到了flag： 18.点击一百万次 点击查看网站，然后观察网页源码，发现了post传值的可能。 然后我们传值给clicks变量，传1000000给clicks变量，得到flag 19.备份是个好习惯 ...
CTF web题总结--爆破用户名密码
bob的博客
08-31 1万+
1、burp爆破用户名密码 2、id，userid，useId多试几次 3、爆破后台目录，index.php,users.php,login.php,flag.php 4、脚本：# -*- coding:utf-8 -*- import httplib import re import urllibclass Attacker: def __init__(self, mode, url)
漏洞：弱口令、爆破
mathor的博客
11-01 1万+
成因 弱口令没有严格和准确的定义，通常认为容易被别人（它们有可能对你很了解）猜测或被破解工具破解的口令均为弱口令。弱口令指的是仅包含简单数字和字母的口令，例如”123”、”abc”等，因为这样的口令很容易被别人破解。通过爆破工具就可以很容易破解用户的弱口令。 分类 普通型 普通型弱口令就是常见的密码，比如，目前网络上也有人特地整理了常用的弱口令（Top 100）： 123456 a123456 1...
burpsuite爆破登陆密码
热门推荐
Yale的博客
04-04 2万+
实战是违法的，哈哈 这里我们以一道题目为例示范如何爆破 题目链接：http://lab1.xseclab.com/vcode1_bcfef7eacf7badc64aaf18844cdb1c46/index.php 要求成功登陆获得key流程如下： 1.首先在随便填入密码，正确填入验证码，然后用burp抓包 右键，send to intruder2.进入intruder后，burp会默认
Password cracking
农家小舍
09-18 3470
From Wikipedia, the free encyclopediaPassword cracking is the process of recovering passwords from data that has been stored in or transmitted by a computer system.A common approac
第四届“”世安杯“”线上赛题解（Web+Stego+Misc+Crypto）
Assassin
10-08 4905
题目很多原题，但是还是考验了不少的知识点，就算是原来见过的也当做是复习了一下知识点了。 WEB ctf入门级题目 非常水的一道题，可以看到源码，然后利用%00截断就可以通过了 曲奇饼 原题，直接利用line和file来泄露文件内容，通过臊面轻松知道存在index.php，然后利用一下得到源码审计 #_*_coding:utf-8_*_ import requests s=r
通过CTFShow例题掌握爆破方法
qq_54502707的博客
01-28 3091
大家好，这里是KOKO师傅~ 之前我们以CTFShow的例题对信息收集类WEB题目进行了针对练习，今天我们继续进行爆破模块的针对练习！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值